Hasil kompetisi Pwn2Own Ireland 2026 yang berlangsung selama tiga hari telah diumumkan. Sebanyak 42 serangan berhasil didemonstrasikan menggunakan kerentanan zero-day yang sebelumnya tidak diketahui pada ponsel pintar, perangkat rumah pintar, printer, dan alat AI. Serangan tersebut memanfaatkan firmware dan sistem operasi terbaru dengan semua pembaruan dan konfigurasi default yang tersedia. Total hadiah mencapai $1.33 juta.
Serangan yang dilakukan:
- Ponsel pintar Samsung Galaxy S26: 6 kali peretasan berhasil. Hadiah yang dibayarkan: $31250, $15750, $11000, $8500, dan $6250.
- Ponsel pintar Google Pixel 10: 1 peretasan berhasil. Hadiah $150 dibayarkan.
- Perangkat otomatisasi rumah Home Assistant Green: 6 peretasan berhasil. Hadiah yang dibayarkan: $30000, $12000, $7500, $7000, $4750, dan $4500.
- Lampu pintar Philips Hue Bridge Pro: 4 peretasan berhasil. Hadiah yang dibayarkan: $40000, $12000, $6000, dan $5000.
- Monitor tekanan darah Garmin Index BPM: dua peretasan berhasil mengeksploitasi kerentanan buffer overflow. Hadiah sebesar $20000 dan $6750 telah dibayarkan.
- Speaker pintar Sonos Era 300: 5 peretasan berhasil mengeksploitasi kerentanan buffer overflow dan format string. Hadiah sebesar $50000, $17500, $12500, $10500, dan $9500 diberikan.
- Printer Lexmark CX532adw: 5 peretasan berhasil mengeksploitasi kerentanan penggunaan memori setelah dibebaskan (use-after-free). Hadiah yang diberikan: $20000, $10000, $5000, $5000, dan $4250.
- Printer Canon imageFORCE 1643F: 1 peretasan berhasil menggunakan kerentanan terkait kurangnya otentikasi yang tepat, substitusi perintah, dan kredensial firmware yang telah ditentukan sebelumnya. Hadiah $10000 dibayarkan.
- Printer Brother MFC-L8970CDW: 1 peretasan berhasil. Hadiah dibayarkan.
$ 20000. - Gerbang AI LiteLLM: 2 peretasan berhasil mengeksploitasi kerentanan terkait validasi input yang tidak tepat dan substitusi kode. $40000 dan $15000 dibayarkan.
- Oracle Autonomous AI Database: 5 eksploitasi berhasil yang melibatkan use-after-free dan type confusion. Hadiah yang diberikan: $40000, $14000, $10000, $6250, dan $6000.
- Agen AI OpenAI Codex: 1 peretasan berhasil menggunakan kerentanan substitusi argumen. $40000 dibayarkan.
- Platform AI Dynamo: 1 peretasan berhasil menggunakan kerentanan buffer overflow. $40000 dibayarkan.
- Chroma vector DBMS: 2 peretasan berhasil. $12000 dan $4500 dibayarkan.
Selain serangan yang berhasil seperti yang disebutkan di atas, sembilan upaya untuk mengeksploitasi kerentanan tersebut gagal, dalam semua kasus karena tim gagal menyelesaikan serangan dalam batas waktu yang ditentukan.
Upaya untuk meretas printer Brother MFC-L8970CDW tidak berhasil dan
Lexmark CX532adwe, monitor tekanan darah Garmin Index BPM, ponsel pintar Google Pixel 10, basis data Chroma, dan sistem otomatisasi rumah Home Assistant Green.
Komponen spesifik permasalahannya belum dilaporkan. Sesuai dengan ketentuan kompetisi, informasi rinci tentang semua kerentanan 0 hari yang ditunjukkan akan dipublikasikan hanya setelah 90 hari, yang diberikan kepada produsen untuk menyiapkan pembaruan yang menghilangkan kerentanan.
Sumber: opennet.ru
